CVE-2026-78582
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Brak autoryzacji (CWE-862) w Kibana może prowadzić do nieautoryzowanego usuwania danych poprzez wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu (CAPEC-180). Uwierzytelniony użytkownik z uprawnieniami Synthetics ograniczonymi do pojedynczej przestrzeni Kibana może trwale usunąć monitory Synthetics współdzielone z przestrzeniami, do których nie ma dostępu. W przypadku monitora powiązanego z prywatną lokalizacją ta sama operacja niszczy również konfigurację integracji Elastic Agent bez kontroli autoryzacji, które Fleet normalnie stosuje.
Ocena ryzyka
Uwierzytelniony użytkownik może nieodwracalnie usunąć monitory Synthetics oraz powiązane konfiguracje, co prowadzi do utraty danych i zakłócenia monitorowania.
Rekomendacja
Zaktualizuj Kibana do wersji, która zawiera poprawkę, oraz zweryfikuj konfigurację uprawnień Synthetics, aby ograniczyć dostęp tylko do niezbędnych przestrzeni.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-102412Średnie
Nieprawidłowa autoryzacja w Kibanie umożliwia ujawnienie poufnych informacji. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Fleet może uzyskać dostęp do materiałów poświadczających, które powinny być zarezerwowane dla administratorów. Wykorzystanie luki może pozwolić na kradzież kluczy kryptograficznych i podszywanie się pod zaufane komponenty infrastruktury Fleet.
- CVE-2026-102410Średnie
Brak autoryzacji w Kibanie w funkcji Metrics Experience umożliwia użytkownikowi z dostępem tylko do odczytu danych na poziomie indeksu pobieranie danych metrycznych przez Kibana, mimo braku odpowiedniego uprawnienia funkcji Kibana. Odpowiednik API z tą samą funkcją wymagał autoryzacji, ale to wewnętrzne API jej nie egzekwowało.
- CVE-2026-102406Wysokie
Kibana zawiera podatność obejścia autoryzacji w procesie instalacji pakietów Fleet. Użytkownik z delegowanymi uprawnieniami do zarządzania pakietami może przejąć identyfikator strumienia danych należący do innego dzierżawcy, przekierowując dane ofiary do infrastruktury kontrolowanej przez atakującego.
- CVE-2026-94400Średnie
Nieograniczone zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130).
- CVE-2026-72662Średnie
Podatność w Kibanie umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Uwierzytelniony użytkownik z uprawnieniami do funkcji Timeline w przestrzeni Kibany może wyliczać, odczytywać, modyfikować i usuwać wersje robocze obiektów Timeline należących do innych użytkowników w tej samej przestrzeni. Do wyliczenia i ujawnienia wystarczy dostęp tylko do odczytu, a do modyfikacji i usunięcia wymagane jest uprawnienie zapisu do Timeline.
- CVE-2026-82302Wysokie
Nieprawidłowa autoryzacja w Kibana może umożliwić nieautoryzowaną modyfikację konfiguracji poprzez wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-82299Średnie
W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do ujawnienia informacji poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).
Oryginalny opis (angielski, źródło NVD)
Missing Authorization (CWE-862) in Kibana can lead to unauthorized deletion of data via Exploiting Incorrectly Configured Access Control Security Levels (CAPEC-180). An authenticated user holding Synthetics privileges scoped to a single Kibana space could permanently delete Synthetics monitors that are shared into spaces they have no access to. Where a monitor is associated with a private location, the same operation also destroys the underlying Elastic Agent integration configuration without the authorization checks that Fleet would otherwise apply.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS